信息安全风险评估技术简介课件

信息安全风险评估技术简介信息安全风险评估技术简介信息安全风险评估技术简介 宁家骏宁家骏（国家信息中心信息安全研究与服务中心国家信息中心信息安全研究与服务中心）2005.12信息安全风险评估技术简介 提提 纲纲一、信息安全形势需要评估一、信息安全形势需要评估二、信息化风险及风险管理研究二、信息化风险及风险管理研究 三、信息安全风险评估技术导引三、信息安全风险评估技术导引 四、信息安全风险评估试点经验宝贵四、信息安全风险评估试点经验宝贵信息安全风险评估技术简介加强信息安全保障工作是当前形势加强信息安全保障工作是当前形势的需要的需要n落实落实2727号文件，一手抓信息化，一手抓安号文件，一手抓信息化，一手抓安全，全，n谁主管谁负责，谁运营谁负责谁主管谁负责，谁运营谁负责n积极防御、综合防范积极防御、综合防范n重点保障网络基础设施和重要信息系统的重点保障网络基础设施和重要信息系统的安全安全n正确处理等级保护与风险评估的关系正确处理等级保护与风险评估的关系n加强信息安全基础设施建设加强信息安全基础设施建设信息安全风险评估技术简介我国信息安全问题的突出表现我国信息安全问题的突出表现n病毒肆虐、黑客侵扰、系统故障等造成的经济损病毒肆虐、黑客侵扰、系统故障等造成的经济损失呈逐年增长态势失呈逐年增长态势n境外敌对势力利用信息通讯网络造谣诽谤、组织境外敌对势力利用信息通讯网络造谣诽谤、组织动员、煽动闹事和破坏；国外反华势力加大对我动员、煽动闹事和破坏；国外反华势力加大对我意识形态和文化渗透。意识形态和文化渗透。n不良和有害信息屡禁不止，利用信息网络技术从不良和有害信息屡禁不止，利用信息网络技术从事犯罪活动日益猖獗，网络群体层出不穷，网上事犯罪活动日益猖獗，网络群体层出不穷，网上舆论传播直接影响社会稳定。舆论传播直接影响社会稳定。n通讯与信息网络上失密、泄密及窃密事件时有发通讯与信息网络上失密、泄密及窃密事件时有发生。直接影响到政府管理效率和公众形象生。直接影响到政府管理效率和公众形象。信息安全风险评估技术简介环境和背景环境和背景n近年来，我国经济社会持续快速发展发展，信息化步近年来，我国经济社会持续快速发展发展，信息化步伐加快，在促进经济发展、调整经济结构、改造传统伐加快，在促进经济发展、调整经济结构、改造传统产业和提高人民生活质量等方面发挥了不可替代的重产业和提高人民生活质量等方面发挥了不可替代的重要作用。一方面社会经济对信息化的依赖程度越来越要作用。一方面社会经济对信息化的依赖程度越来越高，同时逐步建设和积累了一批宝贵的信息资产。高，同时逐步建设和积累了一批宝贵的信息资产。 n与之而来的各类计算机犯罪及与之而来的各类计算机犯罪及“黑客黑客”攻击网络事件攻击网络事件屡有发生，手段也越来越高技术化，从而对各国的主屡有发生，手段也越来越高技术化，从而对各国的主权、安全和社会稳定构成了威胁。权、安全和社会稳定构成了威胁。 n计算机互联网络涉及社会经济生活各个领域，并直接计算机互联网络涉及社会经济生活各个领域，并直接与世界相联，可以说是国家的一个政治与世界相联，可以说是国家的一个政治“关口关口”，一，一条经济条经济“命脉命脉”。网络与信息安全已上升为一个事关。网络与信息安全已上升为一个事关国家政治稳定、社会安定、经济有序运行和社会主义国家政治稳定、社会安定、经济有序运行和社会主义精神文明建设的全局性问题。精神文明建设的全局性问题。 信息安全风险评估技术简介我国面临的信息安全问题的性质我国面临的信息安全问题的性质n我国面临的信息安全问题已不再是一个局部性和我国面临的信息安全问题已不再是一个局部性和技术性的问题，而是一个跨领域、跨行业、跨部技术性的问题，而是一个跨领域、跨行业、跨部门的综合性安全问题。门的综合性安全问题。它不仅是一个它不仅是一个“不对称不对称”的高技术对抗问题，的高技术对抗问题，而且是一个直接影响国计民生、关乎国家安全而且是一个直接影响国计民生、关乎国家安全与政权稳定的现实问题。与政权稳定的现实问题。确保信息网络安全也正在成为新世纪国家安全确保信息网络安全也正在成为新世纪国家安全的重要基石和基本内涵。的重要基石和基本内涵。信息安全风险评估技术简介病毒等网络欺诈行为导致全球经济病毒等网络欺诈行为导致全球经济损失惊人损失惊人n最近最近GartnerGartner组织公布了一项研究报告：每年由于病毒等组织公布了一项研究报告：每年由于病毒等网络欺诈行为导致全球经济损失高达网络欺诈行为导致全球经济损失高达160160多亿美元。多亿美元。 n“表哥，你最近还好吗？知道我是谁吗？看了我的相片表哥，你最近还好吗？知道我是谁吗？看了我的相片你就知道了！你就知道了！” ” 这是在上海某银行上班的杨先生收到一这是在上海某银行上班的杨先生收到一封邮件，谁知邮件还未打开，电脑出现了黑屏。杨先生封邮件，谁知邮件还未打开，电脑出现了黑屏。杨先生还没有弄清是哪个还没有弄清是哪个“表妹表妹”发来的玉照便丢失了大量银发来的玉照便丢失了大量银行保密资料，给单位造成的损失无法估量。行保密资料，给单位造成的损失无法估量。 n去年去年6 6月浙江警方破获一起月浙江警方破获一起“黑客窃取网游密码案黑客窃取网游密码案”，单，单单一个黑客就窃取网游账号单一个黑客就窃取网游账号6 6万多个，价值上百万元。万多个，价值上百万元。 n去年去年6 6月月3 3日至日至9 9月月1919日，就发现较大规模僵尸网络日，就发现较大规模僵尸网络5959个，个，平均每天发现平均每天发现3 3万个受黑客控制的万个受黑客控制的“僵尸僵尸”计算机。计算机。 n包含间谍软件、恶意插件和浏览器劫持在内的流氓软件包含间谍软件、恶意插件和浏览器劫持在内的流氓软件也大行其道，它们侵入用户电脑安装插件和后门程序，也大行其道，它们侵入用户电脑安装插件和后门程序，窃取个人信息，一年之内使自己的流量上升窃取个人信息，一年之内使自己的流量上升600%600%；而通；而通过设立搏彩、低价网络购物等欺诈性网站直接骗取用户过设立搏彩、低价网络购物等欺诈性网站直接骗取用户钱财等等，更是数不胜数。钱财等等，更是数不胜数。信息安全风险评估技术简介从鸩酒到慢药：从鸩酒到慢药：“混合性威胁混合性威胁”的时的时代已经到来代已经到来n根据根据IDCIDC最新的调查结果，如今计算机用户面临的三项最最新的调查结果，如今计算机用户面临的三项最严重的安全威胁依次是垃圾邮件、严重的安全威胁依次是垃圾邮件、DdoSDdoS攻击和网上欺诈。攻击和网上欺诈。与前些年安全威胁大多来自病毒和蠕虫等的大规模猛烈与前些年安全威胁大多来自病毒和蠕虫等的大规模猛烈爆发不同，近年来各种各样的爆发不同，近年来各种各样的“谍件谍件”或恶意代码开始或恶意代码开始在网上肆虐，其疯狂程度已超过了传统的病毒威胁。在网上肆虐，其疯狂程度已超过了传统的病毒威胁。n倘若把病毒比作剧毒的鸩酒，那么倘若把病毒比作剧毒的鸩酒，那么“间谍软件间谍软件”就如同就如同小说里的小说里的“慢药慢药”，毒性更强，中毒后还不易被察觉。，毒性更强，中毒后还不易被察觉。由于利益驱动，由于利益驱动，“间谍软件间谍软件”大都采用巧妙的形式潜伏大都采用巧妙的形式潜伏于用户的个人电脑中，它们更难被被发现，却能窃取用于用户的个人电脑中，它们更难被被发现，却能窃取用户宝贵个人资料，以非法获利，这就是户宝贵个人资料，以非法获利，这就是“网上欺诈网上欺诈”。n今天用户面对的安全威胁更复杂，经常是由多种善变的今天用户面对的安全威胁更复杂，经常是由多种善变的威胁组成的威胁组成的“混合型威胁混合型威胁”，包括病毒、蠕虫、间谍软，包括病毒、蠕虫、间谍软件、拒绝服务攻击等。网络安全问题正日益严峻。件、拒绝服务攻击等。网络安全问题正日益严峻。信息安全风险评估技术简介科研、产业与服务体系科研、产业与服务体系技术与管理标准体系技术与管理标准体系信息安全风险评估技术简介 提提 纲纲一、信息安全形势依然严峻一、信息安全形势依然严峻二、信息化风险及风险管理研究二、信息化风险及风险管理研究 三、信息安全风险评估技术导引三、信息安全风险评估技术导引 四、信息安全风险评估试点经验宝贵四、信息安全风险评估试点经验宝贵信息安全风险评估技术简介二、信息化风险及风险管理研究二、信息化风险及风险管理研究n随着信息化的发展，信息化的风险与随着信息化的发展，信息化的风险与风险管理问题已经成为各个国家、国风险管理问题已经成为各个国家、国际组织所普遍关注的问题。际组织所普遍关注的问题。 n信息化的风险管理，其中信息安全风信息化的风险管理，其中信息安全风险和保障网络空间的安全已经成为关险和保障网络空间的安全已经成为关系信息化能否健康发展的重大问题。系信息化能否健康发展的重大问题。 信息安全风险评估技术简介2.1 2.1 信息化风险的定义信息化风险的定义n风险指行动或者事件的结果的不确定性风险指行动或者事件的结果的不确定性（uncertainty of outcomeuncertainty of outcome）。）。 n信息化的风险被界定为信息化可能或者信息化的风险被界定为信息化可能或者实际带来的消极威胁。实际带来的消极威胁。n风险管理泛指评估风险、确认风险、回风险管理泛指评估风险、确认风险、回应风险的过程。应风险的过程。 信息安全风险评估技术简介2.2 2.2 信息安全基本属性信息安全基本属性n机密性机密性 ConfidentialityConfidentialityn完整性完整性 IntegrityIntegrityn可用性可用性 AvailabilityAvailability信息安全风险评估技术简介2.3 2.3 信息化风险的主要特征信息化风险的主要特征 n全球性全球性n传染性传染性n复杂性复杂性n隐蔽性隐蔽性 信息安全风险评估技术简介信息安全范畴信息安全范畴安全组织访问控制业务不间断运转物理安全等等入侵预防与检测信息安全风险评估技术简介2.4 2.4 信息化风险的内在原因信息化风险的内在原因 基本原因在于内因，由信息化自身的特点所基本原因在于内因，由信息化自身的特点所决定：决定：n第一，信息化的无疆界特征；第一，信息化的无疆界特征；n第二，信息化的低成本特征；第二，信息化的低成本特征；n第三，信息化的开放性特征；第三，信息化的开放性特征；n第四，信息化的匿名性特征。第四，信息化的匿名性特征。 信息安全风险评估技术简介n第一，自然灾害；第一，自然灾害；n第二，误操作和安全生产事故；第二，误操作和安全生产事故；n第三，病毒、蠕虫以及网络攻击；第三，病毒、蠕虫以及网络攻击；n第四，由于信任体系不完善，借助信息化手段进第四，由于信任体系不完善，借助信息化手段进行欺诈；行欺诈；n第五，因内部因素而造成的信息、数据的修改和第五，因内部因素而造成的信息、数据的修改和丢失和内部泄密；丢失和内部泄密； ；n第六，因外部因素造成信息、数据的泄露、篡改第六，因外部因素造成信息、数据的泄露、篡改和丢失；和丢失；n第七，安全防范措施不到位的高端技术。第七，安全防范措施不到位的高端技术。2.5 2.5 信息化风险的外部原因信息化风险的外部原因信息安全风险评估技术简介2.6我国信息安全风险的生成机理我国信息安全风险的生成机理 第一，战略能力不足，规划不明确。第一，战略能力不足，规划不明确。n（1）缺乏项目的建设战略）缺乏项目的建设战略n（2）缺乏项目的中长期发展规划）缺乏项目的中长期发展规划n（3）缺乏明确项目的发展步骤）缺乏明确项目的发展步骤n（4）缺乏项目的阶段性绩效标准）缺乏项目的阶段性绩效标准信息安全风险评估技术简介第二，领导与组织能力不到位，统筹协调不力第二，领导与组织能力不到位，统筹协调不力n领导对于风险管理的重视不足，忽视信息化项目的风险问领导对于风险管理的重视不足，忽视信息化项目的风险问题；题；n信息化目标的错误设定，片面追求某些指标，忽视质量；信息化目标的错误设定，片面追求某些指标，忽视质量； n信息孤岛问题以及跨部门之信息化进程的协调问题；信息孤岛问题以及跨部门之信息化进程的协调问题；n信息安全总体设计不到位；信息安全总体设计不到位；n项目建设规划、评估和监理存在缺位和不足项目建设规划、评估和监理存在缺位和不足2.62.6我国信息安全风险的生成机理（续）我国信息安全风险的生成机理（续）信息安全风险评估技术简介第三，信息化管理的能力差，管理体系不成熟。第三，信息化管理的能力差，管理体系不成熟。n（1）对信息化管理的理念认识和关注不足；）对信息化管理的理念认识和关注不足； n（2）管理基础（包括信息化建设中决策机制、信息）管理基础（包括信息化建设中决策机制、信息透明和公开、实施过程的监督等）不完善；透明和公开、实施过程的监督等）不完善； n（3）缺乏信息化建设周期中质量控制和评估标准；）缺乏信息化建设周期中质量控制和评估标准；2.62.6我国信息安全风险的生成机理（续）我国信息安全风险的生成机理（续）信息安全风险评估技术简介第四，安全子系统建设资金的预算和管理第四，安全子系统建设资金的预算和管理能力差能力差n（1）对信息系统未作风险评估和分析，安全子系统）对信息系统未作风险评估和分析，安全子系统建设投资预算缺乏科学依据建设投资预算缺乏科学依据或过度保护或过度保护或保护不力；或保护不力；n（2）总体资金支持不足；）总体资金支持不足；n（3）信息安全投资的回报难以监控和评估。）信息安全投资的回报难以监控和评估。 2.62.6我国信息安全风险的生成机理（续）我国信息安全风险的生成机理（续）信息安全风险评估技术简介第五，人力资源不足第五，人力资源不足n（1）缺乏信息安全风险管理的人员）缺乏信息安全风险管理的人员n（2）缺乏具备信息安全管理能力和资格的人）缺乏具备信息安全管理能力和资格的人员；员；n（3）培训滞后于项目，培训效果差。）培训滞后于项目，培训效果差。 2.62.6我国信息安全风险的生成机理（续）我国信息安全风险的生成机理（续）信息安全风险评估技术简介第六，法规、标准与政策滞后于信息化发展第六，法规、标准与政策滞后于信息化发展n相关法制工作滞后于信息化建设需求；相关法制工作滞后于信息化建设需求；首先，缺乏对信息化的全面立法支持，缺乏保障政府信首先，缺乏对信息化的全面立法支持，缺乏保障政府信息化的基本法律，如政府信息公开法、政府信息资源管息化的基本法律，如政府信息公开法、政府信息资源管理法。理法。其次，原有的一些法律已不能适应信息化时代的要求，其次，原有的一些法律已不能适应信息化时代的要求，如著作权法、专利法、刑法等，亟待修订。如著作权法、专利法、刑法等，亟待修订。再次，缺乏对信息安全风险的管理规范和技术标准。再次，缺乏对信息安全风险的管理规范和技术标准。2.62.6我国信息安全风险的生成机理（续我国信息安全风险的生成机理（续）信息安全风险评估技术简介第七，保护隐私，数据安全，技术管理方面的第七，保护隐私，数据安全，技术管理方面的不足。不足。 在泄露隐私方面：在泄露隐私方面：n（1）不当授权他人或机构滥用用户信息；）不当授权他人或机构滥用用户信息；n（2）未遵循法律或法规制定相应的隐私和记录管理政策。）未遵循法律或法规制定相应的隐私和记录管理政策。 在影响数据安全方面：在影响数据安全方面：n（1）工作人员对安全因素和措施缺乏足够认知；）工作人员对安全因素和措施缺乏足够认知； n（2）难以解决相关安全问题；）难以解决相关安全问题； n（3）病毒或黑客攻击导致系统瘫痪；）病毒或黑客攻击导致系统瘫痪； n（4）由于一个主要系统瘫痪导致其它系统的失灵。）由于一个主要系统瘫痪导致其它系统的失灵。2.62.6我国信息安全风险的生成机理（续）我国信息安全风险的生成机理（续）信息安全风险评估技术简介 提提 纲纲一、信息安全形势需要评估一、信息安全形势需要评估二、信息化风险及风险管理研究二、信息化风险及风险管理研究 三、信息安全风险评估技术导引三、信息安全风险评估技术导引 四、信息安全风险评估试点经验宝贵四、信息安全风险评估试点经验宝贵信息安全风险评估技术简介克服安全克服安全“亚健康亚健康”的必的必由之路由之路n医学专家告诉我们：医学专家告诉我们：人的躯体有健康、亚健康和患病等多种状态人的躯体有健康、亚健康和患病等多种状态但成年人多数处于亚健康状态但成年人多数处于亚健康状态如何确认和发现问题，必须体检如何确认和发现问题，必须体检n信息系统也一样，在安全状态方面，常常信息系统也一样，在安全状态方面，常常处于处于“亚健康亚健康”甚至患病状态，因此也要甚至患病状态，因此也要“体检体检”这就是风险评估这就是风险评估信息安全风险评估技术简介居安思危，思则有备n温总理：温总理：清醒就是要认识到我们已经取得的成绩，只是在清醒就是要认识到我们已经取得的成绩，只是在现代化的进程迈出了第一步，今后的路还更长，更艰苦。现代化的进程迈出了第一步，今后的路还更长，更艰苦。形势稍好，尤需兢慎。思所以危则安，思所以乱则治，思形势稍好，尤需兢慎。思所以危则安，思所以乱则治，思所以亡则存。所以亡则存。 n左传左传云：云：“居安思危，思则有备，有备无患，敢以此居安思危，思则有备，有备无患，敢以此规。规。”安全风险评估同样蕴涵了这一思想。安全风险评估同样蕴涵了这一思想。n曾有一个关于名医扁鹊的传说。扁鹊有兄弟三人，有一次曾有一个关于名医扁鹊的传说。扁鹊有兄弟三人，有一次齐国国君问他：齐国国君问他：“其孰最善为医？其孰最善为医？”扁鹊答：两个哥哥都扁鹊答：两个哥哥都在自己之上。齐王不解。扁鹊说：两个哥哥都是治大病于在自己之上。齐王不解。扁鹊说：两个哥哥都是治大病于小恙，或者防病于未然，而他是直到病人病情完全显露，小恙，或者防病于未然，而他是直到病人病情完全显露，才能加以诊治。才能加以诊治。n扁鹊的话告诉我们一个简单的道理：事后控制不如事中控扁鹊的话告诉我们一个简单的道理：事后控制不如事中控制，事中控制不如事前控制。健康安全是这样，网络信息制，事中控制不如事前控制。健康安全是这样，网络信息安全亦然。安全亦然。信息安全风险评估技术简介风险评估的理念风险评估的理念n安全需要风险管理，信息安全更需要安全需要风险管理，信息安全更需要风险管理风险管理n风险评估是当前解决信息安全问题的风险评估是当前解决信息安全问题的重要手段重要手段信息安全风险评估技术简介风险评估是一种方法和依据风险评估是一种方法和依据n信息安全风险是由于资产的重要性，人为或自然的信息安全风险是由于资产的重要性，人为或自然的威胁利用信息系统及其管理体系的脆弱性，导致安威胁利用信息系统及其管理体系的脆弱性，导致安全事件一旦发生所造成的影响。信息安全风险评估全事件一旦发生所造成的影响。信息安全风险评估是指依据有关信息安全技术与管理标准，对信息系是指依据有关信息安全技术与管理标准，对信息系统及由其处理、传输和存储的信息的机密性、完整统及由其处理、传输和存储的信息的机密性、完整性和可用性等安全属性进行评价的过程。它要评估性和可用性等安全属性进行评价的过程。它要评估资产面临的威胁以及威胁利用脆弱性导致安全事件资产面临的威胁以及威胁利用脆弱性导致安全事件的可能性，并结合安全事件所涉及的资产价值来判的可能性，并结合安全事件所涉及的资产价值来判断安全事件一旦发生对组织造成的影响，即信息安断安全事件一旦发生对组织造成的影响，即信息安全的风险。全的风险。n信息安全风险评估是信息系统安全保障机制建立过信息安全风险评估是信息系统安全保障机制建立过程中的一种评价方法，其结果为信息安全风险管理程中的一种评价方法，其结果为信息安全风险管理提供依据。提供依据。信息安全风险评估技术简介信息安全风险评估的概念信息安全风险评估的概念n风险评估是对系统进行信息安全风险管理的基础，风险评估是对系统进行信息安全风险管理的基础，也是系统的使用单位或组织判定在系统的整个生也是系统的使用单位或组织判定在系统的整个生命周期中，有关风险级别的过程。其结果是残留命周期中，有关风险级别的过程。其结果是残留风险是否达到可接受水平的一个明确界定，或者风险是否达到可接受水平的一个明确界定，或者是一个是否应当实施额外的安全控制以进一步降是一个是否应当实施额外的安全控制以进一步降低风险的结论。低风险的结论。n信息安全风险定义为有害事件发生的可能性和该信息安全风险定义为有害事件发生的可能性和该事件可能对组织的使命所产生影响的函数。事件可能对组织的使命所产生影响的函数。为了确定这种可能性，需要对系统的威胁以及由此表为了确定这种可能性，需要对系统的威胁以及由此表现出来的脆弱性进行分析。现出来的脆弱性进行分析。影响则是按照系统在单位任务实施中的重要程度来确影响则是按照系统在单位任务实施中的重要程度来确定的。定的。信息安全风险评估技术简介对风险评估总体要求的理解n风险评估工作总体要求是：风险评估工作总体要求是：充分发挥和调动各方面力量，运用风险管理的思充分发挥和调动各方面力量，运用风险管理的思想，通过风险评估，控制和降低风险，全面提高想，通过风险评估，控制和降低风险，全面提高信息系统防护能力，满足信息安全需求，逐步建信息系统防护能力，满足信息安全需求，逐步建成有中国特色的风险评估体系。成有中国特色的风险评估体系。评估我国基础信息网络和重要信息系统，掌握我评估我国基础信息网络和重要信息系统，掌握我国基础信息网络和重要信息系统的安全状态，及国基础信息网络和重要信息系统的安全状态，及时采取合适的应对措施，保障它们的正常运行。时采取合适的应对措施，保障它们的正常运行。通过对国家级重点电子政务系统、电子商务系统通过对国家级重点电子政务系统、电子商务系统以及重要信息基础设施的风险评估工作，从中摸以及重要信息基础设施的风险评估工作，从中摸索经验，不断探索，逐步完善我国风险评估工作索经验，不断探索，逐步完善我国风险评估工作的管理机制。的管理机制。信息安全风险评估技术简介风险管理贯穿于信息系统生命周期风险管理贯穿于信息系统生命周期的整个过程的整个过程n风险管理是管理者权衡保护措施的运行和经济成本与获得风险管理是管理者权衡保护措施的运行和经济成本与获得的收益之间关系的一个过程。的收益之间关系的一个过程。n这个过程并不是这个过程并不是ITIT行业所独有的，实际上它遍及我们日常行业所独有的，实际上它遍及我们日常生活中需要做出决定的任何事情。生活中需要做出决定的任何事情。n进行风险管理的最终目的就是要在这种平衡关系下，将风进行风险管理的最终目的就是要在这种平衡关系下，将风险最小化，这也是在信息系统生命周期过程中需要实施信险最小化，这也是在信息系统生命周期过程中需要实施信息安全风险管理的根本原因。息安全风险管理的根本原因。n所有与安全性相关的活动都是信息安全风险管理的组成部所有与安全性相关的活动都是信息安全风险管理的组成部分。可以说，信息安全风险管理贯穿于系统生命周期的整分。可以说，信息安全风险管理贯穿于系统生命周期的整个过程，即初始阶段、开发个过程，即初始阶段、开发/ /获取阶段、实施阶段、运行获取阶段、实施阶段、运行/ /维护阶段。维护阶段。 信息安全风险评估技术简介美国美国NISTNIST提出的信息系统安全框架提出的信息系统安全框架 信息安全风险评估技术简介风险评估的过程风险评估的过程信息安全风险评估技术简介安全措施安全措施 抵御业务战略业务战略脆弱性脆弱性安全需求安全需求威胁威胁风险风险残余风险残余风险安全事件安全事件依赖具有被满足利用暴露降低增加加依赖增加导出演变 未被满足未控制可能诱发残留成本资产资产资产价值资产价值风险要素关系示意图风险要素关系示意图信息安全风险评估技术简介信息系统安全评估体系的构成信息系统安全评估体系的构成 信息安全风险评估技术简介风险分析的基本要素风险分析的基本要素n风险分析中要涉及资产、威胁、脆风险分析中要涉及资产、威胁、脆弱性等基本要素。弱性等基本要素。n每个要素有各自的属性每个要素有各自的属性资产的属性是资产价值；资产的属性是资产价值；威胁的属性是威胁出现的频率；威胁的属性是威胁出现的频率；脆弱性的属性是资产弱点的严重程度脆弱性的属性是资产弱点的严重程度。信息安全风险评估技术简介资产识别n资产是具有价值的信息或资源，是安全策略保护资产是具有价值的信息或资源，是安全策略保护的对象。它能够以多种形式存在，有无形的、有的对象。它能够以多种形式存在，有无形的、有形的，有硬件、软件，有文档、代码，也有服务、形的，有硬件、软件，有文档、代码，也有服务、形象等。机密性、完整性和可用性是评价资产的形象等。机密性、完整性和可用性是评价资产的三个安全属性。信息安全风险评估中资产的价值三个安全属性。信息安全风险评估中资产的价值不仅仅以资产的账面价格来衡量，而是由资产在不仅仅以资产的账面价格来衡量，而是由资产在这三个安全属性上的达成程度或者其安全属性未这三个安全属性上的达成程度或者其安全属性未达成时所造成的影响程度来决定的。安全属性达达成时所造成的影响程度来决定的。安全属性达成程度的不同将使资产具有不同的价值，而资产成程度的不同将使资产具有不同的价值，而资产面临的威胁、存在的脆弱性、以及已采取的安全面临的威胁、存在的脆弱性、以及已采取的安全措施都将对资产安全属性的达成程度产生影响。措施都将对资产安全属性的达成程度产生影响。为此，有必要对组织中的资产进行识别。为此，有必要对组织中的资产进行识别。信息安全风险评估技术简介资产识别资产识别n资产定义资产定义资产是企业、机构直接赋予了价值因而需要保护的东西。它可能资产是企业、机构直接赋予了价值因而需要保护的东西。它可能是以多种形式存在，有无形的、有有形的，有硬件、有软件，有是以多种形式存在，有无形的、有有形的，有硬件、有软件，有文档、代码，也有服务、企业形象等。文档、代码，也有服务、企业形象等。通常信息资产的机密性、完整性和可用性是公认的能够反映资产通常信息资产的机密性、完整性和可用性是公认的能够反映资产安全特性的三个要素。安全特性的三个要素。资产还具有很强的时间特性，它的价值和安全属性都会随着时间资产还具有很强的时间特性，它的价值和安全属性都会随着时间的推移发生变化，所以应该根据时间变化的频度制定资产相关的的推移发生变化，所以应该根据时间变化的频度制定资产相关的评估和安全策略的频度。评估和安全策略的频度。n资产分类资产分类在一般的评估体中，资产大多属于不同的信息系统，如在一般的评估体中，资产大多属于不同的信息系统，如OAOA系统，系统，网管系统，业务生产系统等。这时首先需要将信息系统及其中的网管系统，业务生产系统等。这时首先需要将信息系统及其中的信息资产进行恰当的分类，才能在此基础上进行下一步的风险评信息资产进行恰当的分类，才能在此基础上进行下一步的风险评估工作。估工作。n资产赋值资产赋值资产赋值是对资产安全价值的估价资产赋值是对资产安全价值的估价信息安全风险评估技术简介资产分类资产分类n风险评估中，资产大多属于不同的信息系统，如风险评估中，资产大多属于不同的信息系统，如OAOA系统、网管系统、业务生产系统等，而且对于系统、网管系统、业务生产系统等，而且对于提供多种业务的组织，其支持业务持续运行的系提供多种业务的组织，其支持业务持续运行的系统数量可能更多。这时首先需要将信息系统及相统数量可能更多。这时首先需要将信息系统及相关的资产进行恰当的分类，以此为基础进行下一关的资产进行恰当的分类，以此为基础进行下一步的风险评估。在实际工作中，具体的资产分类步的风险评估。在实际工作中，具体的资产分类方法可以根据具体的评估对象和要求，由评估者方法可以根据具体的评估对象和要求，由评估者来灵活把握。来灵活把握。n根据资产的表现形式，可将资产分为数据、软件、根据资产的表现形式，可将资产分为数据、软件、硬件、文档、服务、人员等类。硬件、文档、服务、人员等类。信息安全风险评估技术简介威胁识别威胁识别n威胁定义威胁定义安全威胁是对机构及其资产构成潜在破坏的可能性因素安全威胁是对机构及其资产构成潜在破坏的可能性因素或者事件。无论对于多么安全的信息系统，安全威胁是或者事件。无论对于多么安全的信息系统，安全威胁是一个客观存在的事物，它是风险评估的重要因素之一。一个客观存在的事物，它是风险评估的重要因素之一。n威胁分类威胁分类n威胁赋值：威胁赋值：评估确定威胁发生的可能性是威胁评估阶段的重要工作，评估确定威胁发生的可能性是威胁评估阶段的重要工作，评估者应根据经验和（或）有关的统计数据来判断威胁评估者应根据经验和（或）有关的统计数据来判断威胁发生的频率或者发生的概率。其中，威胁发生的可能性发生的频率或者发生的概率。其中，威胁发生的可能性受下列因素影响：受下列因素影响：n1 1、资产的吸引力；、资产的吸引力；n2 2、资产转化成报酬的容易程度；、资产转化成报酬的容易程度；n3 3、威胁的技术力量；、威胁的技术力量；n4 4、脆弱性被利用的难易程度。、脆弱性被利用的难易程度。信息安全风险评估技术简介脆弱性识别脆弱性识别n脆弱性定义脆弱性定义脆弱性评估也称为弱点评估，是风险评估中重要的内容。弱点是资脆弱性评估也称为弱点评估，是风险评估中重要的内容。弱点是资产本身存在的，它可以被威胁利用、引起资产或商业目标的损害。产本身存在的，它可以被威胁利用、引起资产或商业目标的损害。弱点包括物理环境、机构、过程、人员、管理、配置、硬件、软件弱点包括物理环境、机构、过程、人员、管理、配置、硬件、软件和信息等各种资产的脆弱性。和信息等各种资产的脆弱性。脆弱性识别将针对每一项需要保护的信息资产，找出每一种威胁所脆弱性识别将针对每一项需要保护的信息资产，找出每一种威胁所能利用的脆弱性，并对脆弱性的严重程度进行评估，为其赋相对等能利用的脆弱性，并对脆弱性的严重程度进行评估，为其赋相对等级值。脆弱性识别所采用的方法主要为：问卷调查、人员问询、工级值。脆弱性识别所采用的方法主要为：问卷调查、人员问询、工具扫描、手动检查、文档审查、渗透测试等。具扫描、手动检查、文档审查、渗透测试等。n脆弱性分类脆弱性分类脆弱性主要从技术和管理两个方面进行评估，其中在技术方面主要脆弱性主要从技术和管理两个方面进行评估，其中在技术方面主要是通过远程和本地两种方式进行系统扫描；管理脆弱性评估方面可是通过远程和本地两种方式进行系统扫描；管理脆弱性评估方面可以按照以按照BS 7799BS 7799等标准的安全管理要求对现有的安全管理制度及其等标准的安全管理要求对现有的安全管理制度及其执行情况进行检查，发现其中的管理漏洞和不足。执行情况进行检查，发现其中的管理漏洞和不足。n脆弱性赋值脆弱性赋值信息安全风险评估技术简介风险识别n风险计算风险计算风险计算原理形式化描述为：风险计算原理形式化描述为：R= f(A,V,T)=f(Ia,L(Va,T)R= f(A,V,T)=f(Ia,L(Va,T)注：注：R R表示风险；表示风险；A A表示资产；表示资产；V V表示脆弱性；表示脆弱性；T T表示威胁；表示威胁；IaIa表示资产发生安全事件后对机构表示资产发生安全事件后对机构业务的影响业务的影响( (也称为资产的重要程度也称为资产的重要程度) )；VaVa表示表示某一资产本身的脆弱性，某一资产本身的脆弱性，L L表示威胁利用资产的表示威胁利用资产的脆弱性造成安全事件发生的可能性。脆弱性造成安全事件发生的可能性。信息安全风险评估技术简介不打无准备之仗不打无准备之仗做好做好准备准备n风险评估的准备是整个风险评估过程有效风险评估的准备是整个风险评估过程有效性的保证。在风险评估实施前，应：性的保证。在风险评估实施前，应：确定风险评估的目标；确定风险评估的目标；确定风险评估的范围；确定风险评估的范围；组建适当的评估管理与实施团队；组建适当的评估管理与实施团队；选择与组织相适应的具体的风险判断方法；选择与组织相适应的具体的风险判断方法；获得最高管理者对风险评估工作的支持。获得最高管理者对风险评估工作的支持。信息安全风险评估技术简介风险评估的准备风险评估的准备n风险评估的准备过程是组织进行风险评风险评估的准备过程是组织进行风险评估的基础，是整个风险评估过程有效性估的基础，是整个风险评估过程有效性的保证。的保证。确定风险评估的目标确定风险评估的目标确定风险评估的范围确定风险评估的范围建立适当的组织结构建立适当的组织结构建立系统性的风险评估方法建立系统性的风险评估方法获得最高管理者对风险评估策划的批准获得最高管理者对风险评估策划的批准信息安全风险评估技术简介风险评估依据风险评估依据n1 1、政策法规：中办发、政策法规：中办发200320032727号文件和号文件和国信办文件国信办文件n2 2、国际标准：如、国际标准：如BS7799-1 BS7799-1 信息安全管理信息安全管理实施细则实施细则、BS7799-2 BS7799-2 信息安全管理体信息安全管理体系规范系规范等等n3 3、国家标准或正在审批的讨论稿，如、国家标准或正在审批的讨论稿，如GB GB 17859-1999 17859-1999 计算机信息系统安全保护等级计算机信息系统安全保护等级划分准则划分准则和和信息安全风险评估指南信息安全风险评估指南等等n4 4、行业通用标准等其它标准、行业通用标准等其它标准信息安全风险评估技术简介风险评估原则风险评估原则n1 1、可控性原则、可控性原则（1 1）人员可控性）人员可控性（2 2）工具可控性）工具可控性（3 3）项目过程可控性）项目过程可控性n2 2、完整性原则、完整性原则严格按照委托单位的评估要求和指定的范围进行全面的严格按照委托单位的评估要求和指定的范围进行全面的评估服务。评估服务。n3 3、最小影响原则、最小影响原则从项目管理层面和工具技术层面，力求将风险评估对信从项目管理层面和工具技术层面，力求将风险评估对信息系统的正常运行的可能影响降低到最低限度。息系统的正常运行的可能影响降低到最低限度。n4 4、保密原则、保密原则信息安全风险评估技术简介Recommendations评估现状Org ChartsPolicesITSM OverviewStructured interviewsProcess definitionsInterview scheduleProcess records改进项目SIPCustomer survey评估流程评估流程2.5 Internal Integration着重流程内部的集成性着重流程内部的集成性2 Process Capability重视流程执行重视流程执行Other ProcessManagement1.5 Mgnt intent制定管理规范制定管理规范3.5 Quality Control流程质量监控流程质量监控4 Mgnt information提供充分的管理信息提供充分的管理信息Customer1 Prerequisites/基本条件基本条件4.5 External Integration与其它流程的紧密集成与其它流程的紧密集成5 Customer Interface流程优化和服务客户流程优化和服务客户3 Products流程的可交付物流程的可交付物信息安全风险评估技术简介风险计算模型风险计算模型n风险计算模型包含信息资产、弱点风险计算模型包含信息资产、弱点/ /脆弱性、威胁脆弱性、威胁等关键要素。每个要素有各自的属性，信息资产的等关键要素。每个要素有各自的属性，信息资产的属性是资产价值，弱点的属性是弱点被威胁利用后属性是资产价值，弱点的属性是弱点被威胁利用后对资产带来的影响的严重程度，威胁的属性是威胁对资产带来的影响的严重程度，威胁的属性是威胁发生的可能性。发生的可能性。n风险计算的过程是：风险计算的过程是：对信息资产进行识别，并对资产赋值；对信息资产进行识别，并对资产赋值；对威胁进行分析，并对威胁发生的可能性赋值；对威胁进行分析，并对威胁发生的可能性赋值；识别信息资产的脆弱性，并对弱点的严重程度赋值；识别信息资产的脆弱性，并对弱点的严重程度赋值；根据威胁和脆弱性计算安全事件发生的可能性；根据威胁和脆弱性计算安全事件发生的可能性；结合信息资产的重要性和在此资产上发生安全事件的可结合信息资产的重要性和在此资产上发生安全事件的可能性计算信息资产的风险值。能性计算信息资产的风险值。 信息安全风险评估技术简介风险结果的判定n风险等级的划分风险等级的划分确定风险数值的大小不是机构风险评估的最终目的，重要的是明确定风险数值的大小不是机构风险评估的最终目的，重要的是明确不同威胁对资产所产生的风险的相对关系，即要确定不同风险确不同威胁对资产所产生的风险的相对关系，即要确定不同风险的优先次序或等级，对于其中风险级别高的资产应被优先分配资的优先次序或等级，对于其中风险级别高的资产应被优先分配资源进行保护。源进行保护。风险等级建议从风险等级建议从1 1到到5 5划分为五级。等级越大，风险越高。风险的划分为五级。等级越大，风险越高。风险的等级应得到机构管理层的评审并批准。等级应得到机构管理层的评审并批准。n控制措施的选择控制措施的选择n残余风险的评价残余风险的评价对于不可接受范围内的风险，应在选择了适当的控制措施后，对对于不可接受范围内的风险，应在选择了适当的控制措施后，对残余风险进行评价，判定风险是否已经降低到可接受的水平，为残余风险进行评价，判定风险是否已经降低到可接受的水平，为风险管理提供输入。残余风险的评价可以依据机构风险评估的准风险管理提供输入。残余风险的评价可以依据机构风险评估的准则进行，考虑选择的控制措施和已有的控制措施对于威胁发生的则进行，考虑选择的控制措施和已有的控制措施对于威胁发生的可能性的降低。可能性的降低。信息安全风险评估技术简介风险评估结果纪录风险评估结果纪录n根据评估实施情况和所搜集到的信息，如资产评估数据、根据评估实施情况和所搜集到的信息，如资产评估数据、威胁评估数据、脆弱性评估数据等，完成评估报告撰写。威胁评估数据、脆弱性评估数据等，完成评估报告撰写。n评估报告是风险评估结果的记录文件，是实施风险管理的评估报告是风险评估结果的记录文件，是实施风险管理的主要依据，是对风险评估活动进行评审和认可的基础资料，主要依据，是对风险评估活动进行评审和认可的基础资料，必须做到有据可查必须做到有据可查n报告主要包括风险评估范围、风险计算方法、安全问题归报告主要包括风险评估范围、风险计算方法、安全问题归纳及描述、风险级数、安全建议、风险控制措施建议、残纳及描述、风险级数、安全建议、风险控制措施建议、残余风险描述等。余风险描述等。n风险评估过程应形成下列文件：风险评估过程应形成下列文件：风险评估过程计划、风险评估程序、信息资产识别清单、重要信息风险评估过程计划、风险评估程序、信息资产识别清单、重要信息资产清单、威胁参考列表、脆弱性参考列表、风险评估记录、风险资产清单、威胁参考列表、脆弱性参考列表、风险评估记录、风险处理计划：处理计划：n风险评估报告：对整个风险评估过程进行总结，说明机构风险评估报告：对整个风险评估过程进行总结，说明机构的风险状况及残余风险状况，通过管理层的评审，确定评的风险状况及残余风险状况，通过管理层的评审，确定评估后的风险状况满足机构业务发展及其他相关方的要求。估后的风险状况满足机构业务发展及其他相关方的要求。信息安全风险评估技术简介信息安全风险评估基本方法信息安全风险评估基本方法n 手动评估：在风险评估工具出现前，安全评估工手动评估：在风险评估工具出现前，安全评估工作都只能手工进行。其劳动量巨大，容易出现疏漏，作都只能手工进行。其劳动量巨大，容易出现疏漏，而且由于依据各自经验，有较大的局限性。而且由于依据各自经验，有较大的局限性。n工具辅助评估工具辅助评估工具的出现在一定程度上解决了手动评估的局限性。工具的出现在一定程度上解决了手动评估的局限性。19851985年，英国年，英国CCTACCTA开发了开发了CRAMMCRAMM风险评估工具。遵循风险评估工具。遵循BS BS 77997799规范。规范。19911991年，年，C&A System SecurityC&A System Security公司推出了公司推出了COBRACOBRA工具，用来进行信息安全风险评估。它可以看作工具，用来进行信息安全风险评估。它可以看作一个基于专家系统和扩展知识库的问卷系统，对所有的一个基于专家系统和扩展知识库的问卷系统，对所有的威胁和脆弱点评估其相对重要性，并且给出合适的建议威胁和脆弱点评估其相对重要性，并且给出合适的建议和解决方案，对每个风险类别提供风险分析报告和风险和解决方案，对每个风险类别提供风险分析报告和风险值。值。n技术评估和整体评估技术评估和整体评估信息安全风险评估技术简介技术评估和整体评估技术评估和整体评估n技术评估是指对机构的技术基础结构和程序进行系统的、技术评估是指对机构的技术基础结构和程序进行系统的、及时的检查，包括对机构内部计算环境的安全性及其对内及时的检查，包括对机构内部计算环境的安全性及其对内外攻击脆弱性的完整性攻击。外攻击脆弱性的完整性攻击。（1 1）评估整个计算基础结构。（）评估整个计算基础结构。（2 2）使用软件工具分析基础结构及）使用软件工具分析基础结构及其全部组件。（其全部组件。（3 3）提供详细的分析报告，）提供详细的分析报告，n整体风险评估扩展了上述技术评估的范围，着眼于分析机整体风险评估扩展了上述技术评估的范围，着眼于分析机构内部与安全相关的风险，包括内部和外部的风险源、技构内部与安全相关的风险，包括内部和外部的风险源、技术基础和机构结构以及基于电子的和基于人的风险。术基础和机构结构以及基于电子的和基于人的风险。n关注的焦点主要集中在以下关注的焦点主要集中在以下4 4个方面：个方面：（1 1）检查与安全相关的实践，标识当前安全实践的优点和弱点。）检查与安全相关的实践，标识当前安全实践的优点和弱点。（2 2）包括对系统进行技术分析、对政策进行评审，以及对物理安）包括对系统进行技术分析、对政策进行评审，以及对物理安全进行审查。全进行审查。（3 3）检查）检查ITIT的基础结构，以确定技术上的弱点。包括恶意代码的的基础结构，以确定技术上的弱点。包括恶意代码的入侵、数据的破坏或者毁灭、信息丢失、拒绝服务、访问权限和特入侵、数据的破坏或者毁灭、信息丢失、拒绝服务、访问权限和特权的未授权变更等。权的未授权变更等。（4 4）帮助决策制订者综合平衡风险以选择成本效益对策）帮助决策制订者综合平衡风险以选择成本效益对策信息安全风险评估技术简介定性评估和定量评估定性评估和定量评估n定性分析方法是最广泛使用的风险分析方法。该方法通常定性分析方法是最广泛使用的风险分析方法。该方法通常只关注威胁事件所带来的损失（只关注威胁事件所带来的损失（LossLoss），而忽略事件发生），而忽略事件发生的概率（的概率（ProbabilityProbability）。）。多数定性风险分析方法依据机构面临的威胁、脆弱点以及控制措多数定性风险分析方法依据机构面临的威胁、脆弱点以及控制措施等元素来决定安全风险等级。在定性评估时并不使用具体的数施等元素来决定安全风险等级。在定性评估时并不使用具体的数据，而是指定期望值，如设定每种风险的影响值和概率值为据，而是指定期望值，如设定每种风险的影响值和概率值为“高高”、“中中”、“低低”。有时单纯使用期望值，并不能明显区别风险值之间的差别。可以有时单纯使用期望值，并不能明显区别风险值之间的差别。可以考虑为定性数据指定数值。例如，设考虑为定性数据指定数值。例如，设“高高”的值为的值为3 3，“中中”的值的值为为2 2，“低低”的值为的值为1 1。但是要注意的是，这里考虑的只是风险的。但是要注意的是，这里考虑的只是风险的相对等级，并不能说明该风险到底有多大。相对等级，并不能说明该风险到底有多大。n定量分析方法利用两个基本的元素：定量分析方法利用两个基本的元素：威胁事件发生的概率和可能造成的损失。威胁事件发生的概率和可能造成的损失。把这两个元素简单相乘的结果称为把这两个元素简单相乘的结果称为ALEALE（Annual Loss ExpectancyAnnual Loss Expectancy）或或EACEAC（Estimated Annual CostEstimated Annual Cost）。理论上可以依据）。理论上可以依据ALEALE计算风险计算风险等级，并且做出相应的决策。等级，并且做出相应的决策。 信息安全风险评估技术简介一种定量风险评估方法一种定量风险评估方法n首先评估特定资产的价值首先评估特定资产的价值V Vn然后根据客观数据计算威胁的频率然后根据客观数据计算威胁的频率P P；n最后计算威胁影响系数最后计算威胁影响系数 ，因为对于每一个风险，因为对于每一个风险，并不是所有的资产所遭受的危害程度都是一样的，并不是所有的资产所遭受的危害程度都是一样的，程度的范围可能从无危害到彻底危害。程度的范围可能从无危害到彻底危害。n根据上述三个参数，计算根据上述三个参数，计算ALEALE：ALE ALE V V P P n定量风险分析方法要求特别关注资产的价值和威定量风险分析方法要求特别关注资产的价值和威胁的量化数据，但是这种方法存在一个问题，就胁的量化数据，但是这种方法存在一个问题，就是数据的不可靠和不精确。是数据的不可靠和不精确。 信息安全风险评估技术简介基于知识的评估和基于模型的评估基于知识的评估和基于模型的评估n基于知识的风险评估方法主要是依靠经验进行的，经验从基于知识的风险评估方法主要是依靠经验进行的，经验从安全专家处获取并凭此来解决相似场景的风险评估问题。安全专家处获取并凭此来解决相似场景的风险评估问题。这种方法的优越性在于能够直接提供推荐的保护措施、结这种方法的优越性在于能够直接提供推荐的保护措施、结构框架和实施计划。构框架和实施计划。基于基于“良好实践良好实践”的知识评估方法提出重用具有相似性机构（主要的知识评估方法提出重用具有相似性机构（主要从机构的大小、范围以及市场来判断机构是否相似）的从机构的大小、范围以及市场来判断机构是否相似）的“良好实良好实践践”。基于知识的风险评估方法充分利用多年来开发的保护措施和安全实基于知识的风险评估方法充分利用多年来开发的保护措施和安全实践，依照机构的相似性程度进行快速的安全实施和包装，以减少机践，依照机构的相似性程度进行快速的安全实施和包装，以减少机构的安全风险。然而，机构相似性的判定、被评估机构的安全需求构的安全风险。然而，机构相似性的判定、被评估机构的安全需求分析以及关键资产的确定都是该方法的制约点。安全风险评估是一分析以及关键资产的确定都是该方法的制约点。安全风险评估是一个非常复杂的任务，这要求存在一个方法既能描述系统的细节又能个非常复杂的任务，这要求存在一个方法既能描述系统的细节又能描述系统的整体。描述系统的整体。n基于模型的评估可以分析系统自身内部机制中存在的危险，基于模型的评估可以分析系统自身内部机制中存在的危险，同时又可以发现系统与外界环境交互中的不正常并有害的同时又可以发现系统与外界环境交互中的不正常并有害的行为，从而完成系统弱点和安全威胁的定性分析。行为，从而完成系统弱点和安全威胁的定性分析。信息安全风险评估技术简介系统安全风险动态分析与评估方法n信息安全管理是指导和控制机构的关于信息安全风险的相信息安全管理是指导和控制机构的关于信息安全风险的相互协调的活动，关于信息安全风险的指导和控制活动通常互协调的活动，关于信息安全风险的指导和控制活动通常包括制定信息安全方针、风险评估、控制目标与方式选择、包括制定信息安全方针、风险评估、控制目标与方式选择、风险控制、安全保证等。信息安全管理实际上是风险管理风险控制、安全保证等。信息安全管理实际上是风险管理的过程，管理的基础是风险的识别和评估。的过程，管理的基础是风险的识别和评估。n信息安全管理中认为风险的分析与评估是个动态的过程，信息安全管理中认为风险的分析与评估是个动态的过程，所以相应得分析与评估方法、评估工具都要体现动态性。所以相应得分析与评估方法、评估工具都要体现动态性。nPDCAPDCA（Plan Do Check ActionPlan Do Check Action）